En el ecosistema Web3, lo que nos dicen las empresas y la realidad reflejada en la cadena de bloques (on-chain) no siempre están en el mismo guión y muestra de ello, es el más reciente incidente de ciberseguridad que involucra al ecosistema metaversal The Sandbox, dejándonos un claro testimonio de esta desconexión.
Mientras que la directiva del proyecto catalogó la brecha de su puente interoperable como una falla de impacto “mínimo”, las firmas de análisis forense detectaron una emisión descontrolada de tokens que multiplicó de forma astronómica la oferta teórica del criptoactivo.
El evento, ejecutado durante el fin de semana del 22 de agosto de 2026, pone una vez más bajo la lupa a la infraestructura de interoperabilidad entre cadenas (bridges) y reabre el debate sobre la seguridad en las redes secundarias porque se han convertido en objetivos clave de actores maliciosos.
El ataque no se dirigió contra la red principal de Ethereum ni contra Polygon —donde descansa la mayor parte del capital y la infraestructura de The Sandbox—, sino contra sus conexiones de puente Omnichain Fungible Token (OFT, «por sus siglas en inglés») desplegadas en Base (la Capa 2 de Coinbase) y BNB Smart Chain (BSC).
De acuerdo con reportes preliminares de la firma de seguridad Blockaid, los atacantes lograron secuestrar los permisos de delegado de LayerZero asociadas al contrato del token SAND, mediante la explotación de la función approveAndCall, la entidad maliciosa vulneró los controles de autorización predeterminados.
Esto le permitió instruir al sistema la creación ilimitada de nuevo suministro sin necesidad de depositar el correspondiente colateral en la cadena de origen (lock-and-mint) por lo que en cuestión de horas y a lo largo de más de 400 transacciones, las alertas de monitoreo comenzaron a sonar.
#PeckShieldAlert Seems like The @TheSandboxGame ($SAND) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR
— PeckShieldAlert (@PeckShieldAlert) August 22, 2026
La firma PeckShield informó en la red social X, que detectó que dos direcciones vinculadas al atacante (0xAbE0…4D22 y 0x638C…F296) llegaron a acumular la cifra de 14.900 millones de tokens SAND recién acuñados.
La magnitud técnica del suceso es extraordinaria porque el suministro máximo total (Max Supply) del token SAND está programado de forma inalterable en 3.000 millones de unidades, así que en términos estrictamente matemáticos, el atacante generó cerca de cinco veces la masa total de tokens que pueden existir en toda la historia del proyecto.
Por su parte, la firma Blockaid estimó que el valor nocional o “nominal” de la masa monetaria creada superaba los 49.000 millones de dólares. No obstante, los analistas aclararon rápidamente que dicha cifra representa una valoración teórica basada en el precio de mercado del token en ese instante y no un robo efectivo de fondos.
Debido a que la liquidez real en las piscinas (liquidity pools) de Base y BSC era ínfima en comparación con la emisión gigantesca, el atacante únicamente logró drenar una fracción menor de capital —estimada en algo más de 14,7 millones de SAND convertidos a unos 80 ETH (aproximadamente 675.000 dólares)— antes de que los mercados colapsaran localmente o se detuviera la infraestructura.
⚠️ Security update: Within the past 6 hours, @TheSandboxGame identified and resolved a vulnerability affecting $SAND on @base and @BNBCHAIN only. Ethereum and Polygon are NOT affected.
⚡️ The team reacted immediately, blocking transfers through cross-chain bridges and preventing… https://t.co/QXgIAmT6ZJ
— Sebastien 🏞 (@borgetsebastien) August 22, 2026
Ante la magnitud de las alertas, el equipo directivo de The Sandbox reaccionó emitiendo un extenso comunicado en X, donde aseguró haber identificado y “contenido por completo” la vulnerabilidad.
The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply.
SAND tokens on Ethereum and Polygon are NOT…
— The Sandbox (@TheSandboxGame) August 22, 2026
El proyecto argumentó que el impacto económico real fue inferior al 0,01% del suministro global, aludiendo a que la reserva colateralizada que respalda los activos en Ethereum permaneció 100% intacta.
Para evitar que el volumen de SAND sin respaldo saliera de las redes secundarias contaminando el mercado global, The Sandbox congeló de inmediato las funciones del puente hacia y desde Base y BSC.
Asimismo, advirtieron a la comunidad no realizar operaciones en esos entornos y anunciaron la toma de una captura de estado (snapshot) pre-incidente con el fin de elaborar un plan de compensación para los proveedores de liquidez calificados.
Pese al mensaje de tranquilidad, los exchanges de Asia reaccionaron con severidad preventiva, porque plataformas de alto volumen en Corea del Sur, como Bithumb y Upbit, congelaron de inmediato los depósitos y retiros de SAND citando mandatos de la Ley de Protección al Usuario de Activos Virtuales de dicho país.
En una muestra de extrema cautela, Upbit suspendió incluso las transferencias sobre la red Ethereum, evidenciando la desconfianza institucional temporal ante posibles incongruencias en los libros de contabilidad del activo.
Este ataque representa el segundo gran varapalo del año para la arquitectura cross-chain de LayerZero, tras el exploit sufrido en abril de 2026 por el protocolo KelpDAO —asociado al grupo norcoreano Lazarus—, donde se sustrajeron 290 millones de dólares por fallos de verificación de mensajes entre cadenas.
Para comprender el impacto mediático de este incidente, es necesario analizar la trayectoria de The Sandbox, uno de los nombres más prominentes de la industria de los videojuegos descentralizados y los entornos virtuales.
Creado originalmente en 2011 por el estudio de desarrollo Pixowl —liderado por los emprendedores Arthur Madrid y Sebastien Borget—, The Sandbox nació como un juego móvil tradicional en dos dimensiones para iOS y Android.
En su formato inicial, permitía a los usuarios manipular elementos de física estilo “caja de arena” (sandbox) y crear mundos usando gráficos pixelados, haciendo que el título alcanzara más de 40 millones de descargas globales, sentando las bases de una comunidad apasionada por la creación de contenido generado por el usuario (UGC, «por sus siglas en inglés»).
En 2018, la firma de inversión y desarrollo tecnológico Animoca Brands adquirió Pixowl con una visión radical de transformar la franquicia móvil en un metaverso tridimensional basado en tecnología blockchain.
Con esta transición, los gráficos pasaron a ser modelos tridimensionales construidos por vóxeles (el equivalente tridimensional de un píxel, similar a la estética de Minecraft), y la economía del juego se reestructuró en torno a la propiedad digital real. Bajo este modelo descentralizado, la plataforma opera a través de tres pilares técnicos centrales:
LAND: Terrenos virtuales representados como tokens no fungibles (NFT, «por sus siglas en inglés») dentro del mapa del juego. Los usuarios y marcas pueden adquirir estas parcelas para edificar experiencias, juegos o galerías.
VoxEdit y Game Maker: Herramientas de software gratuitas que permiten a artistas y diseñadores modelar objetos 3D, animarlos y programar dinámicas de juego sin necesidad de conocimientos avanzados de código.
Token SAND: El token de utilidad basado en el estándar ERC-20 que sirve como la moneda oficial del ecosistema. SAND se utiliza para realizar transacciones en el mercado (Marketplace), comprar terrenos, participar en la gobernanza de la Organización Autónoma Descentralizada (DAO) y retribuir a los creadores de contenido y proveedores de liquidez.
A lo largo de la última década, The Sandbox ha logrado atraer a cientos de socios comerciales de alto perfil, incluyendo marcas globales, figuras de la música y franquicias de entretenimiento que adquirieron parcelas de LAND para establecer su presencia digital en el metaverso.
Aunque la cotización de SAND demostró una extraña resiliencia en los mercados de contado tras el evento, la brecha reaviva las dudas sobre la seguridad en la infraestructura multinivel del ecosistema cripto.
El exploit a The Sandbox deja una lección contundente para la industria: mientras la emisión y gobernanza de los tokens principales se mantengan descentralizadas, los permisos administrativos y las funciones de delegación en las llamadas “capas de enlace” o puentes continuarán siendo el objetivo primordial de los atacantes en el panorama del cibercrimen financiero.